La digital forensics è come cercare un ago in un pagliaio digitale.
Raccoglie prove da dispositivi elettronici, reti e sistemi, aiutando gli investigatori a identificare, preservare e analizzare le prove trovate nei crimini informatici. Determina cosa è stato compromesso e come un criminale informatico potrebbe averlo fatto.
Molte organizzazioni utilizzano strumenti di digital forensics per esaminare e investigare i sistemi di tecnologia dell'informazione dopo un incidente di sicurezza. Questi strumenti aiutano gli esperti di digital forensics a identificare la causa principale di un attacco informatico e a stabilire misure preventive per evitare futuri incidenti.
Cos'è la digital forensics?
La digital forensics è un ramo della scienza forense che si occupa di recuperare, investigare, esaminare e analizzare materiale nei dispositivi digitali, specialmente in un incidente di sicurezza informatica.
I team di risposta agli incidenti e le agenzie di polizia la utilizzano per investigare le prove elettroniche di un crimine informatico.
Definizione di digital forensics
La digital forensics è un ramo della scienza forense che si concentra sullo scoprire, interpretare e preservare le prove di dati elettronici durante un'indagine su un incidente di sicurezza.
La digital forensics è anche conosciuta come scienza forense digitale. Poiché i dispositivi elettronici stanno occupando uno spazio sostanziale nei nostri stili di vita moderni, consapevolmente o inconsapevolmente, i criminali o i trasgressori li utilizzano nei loro atti illeciti. Questo rende questi dispositivi solidi pezzi di prova per supportare o confutare un'accusa nei tribunali penali e civili.
I casi penali coinvolgono presunte violazioni della legge e i casi civili trattano controversie contrattuali tra parti commerciali. La digital forensics serve come una solida prova per esaminare entrambi i tipi di casi.
La scienza forense digitale gioca anche un ruolo importante nel settore privato. Le agenzie investigative la utilizzano durante le indagini aziendali interne o mentre indagano su incidenti di intrusione non autorizzata nella rete.
Utilizzando l'analisi della digital forensics, queste agenzie possono attribuire prove ai sospetti, confermare alibi, identificare intenzioni o autenticare documenti. Molte agenzie sfruttano il sistema di rilevamento e prevenzione delle intrusioni di un'azienda per esplorare potenziali crimini mentre raccolgono e analizzano le prove forensi.
Vuoi saperne di più su Software di analisi forense digitale? Esplora i prodotti Informatica Forense.
Una breve storia della digital forensics
Prima della fine degli anni '70, le autorità giudiziarie affrontavano i crimini legati ai computer utilizzando le leggi esistenti. Nel 1978, il Florida Computer Crimes Act riconobbe per la prima volta i crimini informatici. Poiché i reati penali legati ai computer crebbero negli anni successivi, furono approvate diverse leggi per affrontare le questioni di privacy, molestie e diritti d'autore.
Negli anni '80, le leggi federali iniziarono a incorporare i reati informatici. Il Federal Bureau of Investigation (FBI) avviò un team di Analisi e Risposta ai Computer nel 1984. I primi membri di questo team erano agenti dell'FBI che erano appassionati di computer.
Negli anni '80, erano disponibili solo pochi programmi di tecniche di digital forensics. Di conseguenza, gli investigatori eseguivano analisi dal vivo ed esaminavano i computer dall'interno del sistema operativo per estrarre prove. Sebbene gli investigatori potessero ottenere le prove, c'era il rischio di modificare i dati, il che avrebbe comportato la manomissione delle prove.
All'inizio degli anni '90 si assistette a molti nuovi programmi, strumenti e tecniche di digital forensics per mitigare il rischio di modificare i dati. Verso la fine degli anni '90, furono sviluppati strumenti avanzati poiché la domanda di prove digitali crebbe.
Aumentò anche la domanda di nuove e basilari risorse di indagine. Questa domanda stimolò la creazione di gruppi regionali e locali per aiutare le unità centrali di ricerca forense.
Vari enti e agenzie iniziarono a lavorare per affrontare la necessità di standardizzazione e linee guida per la digital forensics negli anni 2000. Anche la formazione di ricercatori e investigatori ricevette notevole attenzione in questo decennio.
Perché la digital forensics è importante?
Proprio come un criminale lascia impronte digitali e passi sulla scena di un crimine, un hacker lascia registri di attività e metadati in un crimine informatico. Gli investigatori di digital forensics analizzano questi dati elettronici per trovare gli strumenti utilizzati dall'attaccante, così come il loro metodo scelto per lanciare un attacco informatico.
La digital forensics determina la quantità e la natura del danno causato da un attacco informatico. Gli esperti di computer forensics giocano un ruolo importante nel trovare e preservare le prove relative all'incidente, che potrebbero diventare obsolete in seguito.
Aiutano il team di risposta agli incidenti a capire chi era l'hacker, come l'hacker ha portato a termine l'attacco e quanto danno ha causato l'attacco.
Di seguito sono riportati alcuni aspetti importanti della digital forensics:
- Comprendere la causa e l'intento di un attacco informatico
- Mantenere la postura di sicurezza e ripercorrere i passi dell'hacker per esporre gli strumenti di attacco
- Preservare le prove elettroniche prima che diventino obsolete
- Trovare la fonte di esfiltrazione o accesso ai dati
- Mappare i login utilizzando la geolocalizzazione
- Rilevare la durata dell'accesso non autorizzato sulla rete informatica
- Allertare i passi necessari per prevenire ulteriori danni
- Fornire intelligence sulle vulnerabilità di cybersecurity in un'organizzazione e aiutare nella gestione delle patch
- Aiutare i leader aziendali a prendere decisioni sulla divulgazione delle violazioni dei dati e informare le autorità legali competenti
La digital forensics aiuta un'organizzazione anche dopo un attacco mentre affronta le sue conseguenze. Un'indagine di digital forensics evidenzia il percorso verso i dati compromessi, consentendo alle organizzazioni di comprendere chiaramente l'impatto delle violazioni dei dati e di implementare misure di mitigazione.
Di seguito sono riportate alcune aree comuni in cui le persone trovano utile la digital forensics:
- Proprietà intellettuale (IP) e indagini interne sono casi tipici di utilizzo della digital forensics aziendale. Coprono casi di furto di IP, spionaggio industriale, cattiva condotta di IP, frode, lesioni personali o morte, o molestie sessuali. Le prove hardware e digitali aiutano a portare i colpevoli alla giustizia nei tribunali.
- Recupero dati è spesso visto come un sottoinsieme della digital forensics. Aiuta a recuperare informazioni rubate o perse nei dispositivi che le persone utilizzano.
- Analisi dei danni è un'area comune in cui le persone sfruttano la digital forensics per scoprire vulnerabilità e porvi rimedio per prevenire futuri attacchi informatici.
- Indagini penali e private impiegano l'analisi forense digitale per gestire casi complessi che coinvolgono prove digitali come quelli che coinvolgono frodi telematiche o schemi di riciclaggio di denaro.
- Agenzie di sicurezza nazionale utilizzano la digital forensics per monitorare le comunicazioni via email tra sospetti terroristi mentre cercano costantemente segni di un attacco terroristico.
Tipi di digital forensics
La digital forensics è un campo in continua evoluzione che va dal semplice recupero dati alla ricostruzione dell'identità di un hacker.
L'ambito e la scala del compito sono determinati da ciò che si sta cercando di realizzare. Stai cercando di recuperare file cancellati? O stai cercando di scoprire chi ha hackerato il tuo computer e rubato tutte le tue informazioni?
Indipendentemente dal tipo di aiuto forense digitale di cui hai bisogno, è importante capire che ci sono diversi tipi, livelli e gradi di analisi.
Di seguito sono riportati alcuni tipi comuni di digital forensics che gli esperti incontrano nelle loro indagini:
- Forensics di rete si riferisce al rilevamento e al monitoraggio del traffico di rete per catturare prove cruciali.
- Forensics del disco raccoglie prove da dispositivi di archiviazione digitale come USB, CD, hard disk e DVD.
- Forensics wireless è una parte della forensics di rete che estrae prove da dispositivi di rete wireless.
- Forensics dei database indaga sui database e sui loro metadati rilevanti per raccogliere prove.
- Forensics delle email gestisce il recupero e l'analisi dei dati eliminati in un'email.
- Forensics del malware identifica il codice dannoso e studia i problemi relativi a trojan e altri virus.
- Forensics della memoria indaga sui dati nella memoria cache di un computer o nella RAM e li raccoglie come prove.
Processo di digital forensics
Ci sono cinque passaggi chiave nel processo di digital forensics: identificazione, preservazione, analisi, documentazione e presentazione.
.png)
Identificazione
Identificare le prove digitali assicura che gli investigatori raccolgano le prove giuste e che non siano contaminate da altre fonti di dati.
Gli esperti di digital forensics identificano il problema. Determinano che tipo di crimine è avvenuto, che tipi di dispositivi possono essere coinvolti e come possono utilizzare quei dispositivi per risolvere il caso. Comporta l'identificazione di chi o cosa è coinvolto nel crimine esaminando i metadati relativi alle prove digitali (ad esempio, un file video). Questo permette agli investigatori di determinare se i dati stessi sono necessari per la loro indagine.
Preservazione
Le informazioni digitali possono essere facilmente alterate o distrutte se maneggiate in modo errato, quindi devono essere preservate per mantenerle al sicuro da manomissioni. Questo mantiene l'integrità delle prove.
Gli esaminatori di digital forensics utilizzano tipicamente file di backup delle immagini mentre preservano le prove. È fondamentale assicurarsi che l'esaminatore non lasci ulteriori impronte mentre crea l'immagine. Il software di imaging li aiuta a evitare la manomissione delle prove.
I registri di accesso e i backup dei dati sono dinamici poiché i computer continuano a ricevere e cambiare informazioni. Gli esaminatori forensi devono estrarre artefatti digitali come pacchetti di dati, registri degli eventi e contenitori e preservarli per evitare sovrascritture.
Analisi
Questo comporta la revisione delle prove identificate per determinare l'accuratezza dei risultati. Gli analisti cercano quindi eventuali dati aggiuntivi che potrebbero aiutare a rispondere a domande sul caso.
Di solito impiegano software specializzati di digital forensics che ordinano rapidamente ed efficacemente tutte le prove, scoprendo cosa è successo il prima possibile. Questi software li aiutano a comprendere l'incidente e a creare la cronologia degli eventi.
Documentazione
Gli analisti di digital forensics devono documentare i loro risultati in tribunale come prove. Altri investigatori o supervisori all'interno dell'organizzazione possono anche richiedere l'accesso a queste informazioni per i loro scopi.
Una buona documentazione di digital forensics copre informazioni critiche per trarre intuizioni e fare una conclusione accurata.
Presentazione
Dopo la documentazione, gli esperti riassumono e presentano i loro risultati a un tribunale o a qualsiasi altra autorità investigativa. La presentazione assembla insieme più angolazioni degli incidenti di sicurezza, aiutando i corpi investigativi a giungere a una conclusione.
Queste presentazioni seguono protocolli e includono metodologia forense e procedure di analisi con la loro spiegazione.
Vantaggi della digital forensics
Non basta capire come chiudere l'accesso dell'hacker una volta che è entrato in una rete. Gli scienziati della digital forensics devono sapere da dove è venuto l'attacco per chiudere quella porta per sempre.
Se ciò non accade, le organizzazioni giocheranno semplicemente a whack-a-mole con gli hacker, compromettendo la sicurezza ogni volta che ne arrivano di nuovi.
La digital forensics fornisce agli esperti di cybersecurity le informazioni di cui hanno bisogno per sviluppare tecnologie che tengano fuori permanentemente gli hacker. Una volta che l'esperto sa come gli hacker sono entrati, crea o programma software che avvisa gli amministratori quando si è verificato un attacco in modo che possano impedire all'hacker di ottenere l'accesso.
Di seguito sono riportati alcuni vantaggi comuni della digital forensics:
- Previene i virus. Uno degli usi più importanti della digital forensics è identificare come i virus entrano in un dispositivo o in una rete. La digital forensics aiuta gli esperti di sicurezza a comprendere i metodi e gli strumenti che gli hacker utilizzano per infiltrarsi in un sistema. Utilizzando questa conoscenza, i programmi antivirus possono concentrarsi su particolari superfici di attacco per prevenirli.
- Recupera informazioni cancellate. In alcuni casi, gli esperti di cybersecurity possono recuperare file che gli utenti o gli hacker hanno cancellato dai loro sistemi. Questo può essere estremamente utile se un dipendente ha cancellato accidentalmente file importanti o se l'azienda ha bisogno di recuperare file da una macchina compromessa.
- Identifica le vulnerabilità. La digital forensics aiuta i team di sicurezza a rilevare vulnerabilità in reti, dispositivi e siti web che gli hacker utilizzano per ottenere accesso. Questo include password deboli e altre misure di sicurezza che non forniscono una protezione adeguata contro gli attacchi.
Le sfide della digital forensics
La digital forensics presenta sfide uniche per gli investigatori. Queste sfide sono categorizzate in tecniche, legali e di risorse.
Sfide tecniche
Le sfide tecniche includono l'identificazione di prove ammissibili in tribunale che possono essere utili all'indagine. Alcuni dati possono essere nascosti o crittografati su un dispositivo, impedendo l'accesso agli esperti. Sebbene la crittografia garantisca la privacy dei dati, gli attaccanti la utilizzano anche per nascondere i loro crimini.
I criminali informatici nascondono anche alcuni dati all'interno dello storage utilizzando comandi di sistema e programmi. Potrebbero anche cancellare dati dal sistema informatico.
In tali situazioni, gli strumenti di digital forensics possono aiutare a recuperare questi dati dallo spazio libero di un dispositivo o dai file di swap. Alcuni attaccanti sfruttano anche il canale nascosto per nascondere la connessione tra loro e il sistema compromesso.
Di seguito sono riportate alcune sfide tecniche comuni della digital forensics:
- Lo storage cloud rende l'indagine più complessa
- Il tempo necessario per archiviare i dati
- Lacune di competenze o conoscenze
- Steganografia, che consiste nel nascondere informazioni all'interno di un file lasciando il suo aspetto esterno invariato
Sfide legali
Le sfide legali includono preoccupazioni sulla privacy e regolamenti sull'accessibilità allo storage dei dati. Ad esempio, alcune leggi richiedono alle aziende di cancellare le informazioni personali entro un certo periodo di tempo dopo un incidente. Uno strumento di digital forensics può aiutare a recuperare questi dati in modo che non vadano persi prima che si verifichi un'indagine.
Alcuni quadri legali potrebbero non riconoscere ogni aspetto granulare della digital forensics. La politica informatica può non soddisfare le qualifiche e le competenze richieste per identificare e provare le prove.
Di seguito sono riportate alcune sfide legali comuni della digital forensics:
- Problemi di privacy
- Ammissibilità nei tribunali
- Preservazione delle prove elettroniche
- Autorità di raccogliere prove digitali
Sfide di risorse
Con internet e le reti a vasta area, i dati ora fluiscono oltre i confini fisici. I dati elettronici sono aumentati di volume, rendendo difficile per gli esaminatori di digital forensics identificare i dati originali e rilevanti.
La tecnologia sta anche cambiando molto rapidamente. A causa di ciò, è diventato difficile leggere le prove digitali poiché le nuove versioni dei sistemi non sono compatibili con le vecchie versioni di software che non hanno supporto per la compatibilità retroattiva.
Migliori pratiche per le indagini di digital forensics
Gli esperti di digital forensics dovrebbero seguire alcuni standard e migliori pratiche durante l'indagine su un incidente di sicurezza.
Di seguito sono riportate alcune migliori pratiche per garantire indagini complete e prove credibili:
- Documentare la posizione e la condizione di tutto prima di iniziare le indagini.
- Fare copie delle prove e lavorare su di esse invece di lavorare sui file originali per evitare di manometterli.
- Essere sistematici e completi con l'analisi e raccogliere prove per supportare o confutare un'ipotesi con più teorie possibili.
- Seguire procedure standard per gestire le prove e preservarle senza alterazioni o cancellazioni.
- Preparare la documentazione dell'indagine con dati dettagliati, chiari e fattuali.
- Evitare il gergo tecnico il più possibile e creare un'appendice per informazioni aggiuntive.
- Riassumere la documentazione dell'indagine senza alcun pregiudizio e convalidare i risultati con intervistatori forensi in casi critici.
- Adottare linee guida normative come ISO/IEC 27037:2012 che identificano, raccolgono e preservano le prove digitali.
- Essere etici durante l'indagine su un incidente ed evitare di divulgare qualsiasi informazione acquisita inavvertitamente avvocato-cliente senza il consenso dell'avvocato o l'ordine del giudice.
I 5 migliori strumenti di digital forensics
Gli strumenti di digital forensics aiutano i team di risposta agli incidenti ad aggregare informazioni di sicurezza da hardware, registri di rete e file di rete per rilevare la possibile causa di una violazione della sicurezza. I team forensi conducono un'analisi approfondita dei sistemi e facilitano i processi di risposta agli incidenti.
Per qualificarsi per l'inclusione nell'elenco del software di digital forensics, un prodotto deve:
- Condurre analisi di sicurezza di email, internet, file, memoria e hardware
- Eseguire analisi dopo aver indicizzato le informazioni di sicurezza aggregate
- Automatizzare e delineare i flussi di lavoro di indagine sulla sicurezza
- Delineare le vulnerabilità di sicurezza nei rapporti investigativi.
*Questi dati sono raccolti dalla categoria del software di digital forensics di G2 il 14 aprile 2022. Alcune recensioni possono essere modificate per chiarezza.
1. IBM Security QRadar
IBM Security QRader identifica, comprende e dà priorità alle minacce più cruciali per un'azienda. Offre soluzioni complete di rilevamento e risposta alle minacce che eliminano le minacce più velocemente.
Cosa piace agli utenti:
“Il prodotto aiuta a identificare minacce o vulnerabilità nascoste nel sistema e a trovare una soluzione rapida per esse. Le regole e le offese possono essere utilizzate per lavorare sulla politica di sicurezza delle minacce. L'app IBM per l'integrazione di molti strumenti di gestione delle informazioni e degli eventi di sicurezza (SIEM) per raccogliere registri e lavorarci è di prim'ordine.”
- Recensione di IBM Security QRadar, Rajesh M.
Cosa non piace agli utenti:
“Il problema principale è con i connettori delle applicazioni legacy. Deve lavorare alla pari con la concorrenza o eccellere poiché si trova carente nella piattaforma di orchestrazione, automazione e risposta alla sicurezza (SOAR) o in quello che si può chiamare centro operativo di sicurezza (SOC) di nuova generazione. Ho anche sentito che era carente nel dominio della gestione dei dati, sia con dati strutturati che non strutturati. Anche in termini di costi, è un grande sovraccarico.”
- Recensione di IBM Security QReader, Darshan C
2. FTK Forensic Toolkit
FTK Forensic Toolkit è un software di forensics informatica che scansiona i dischi rigidi, individua le email cancellate e scansiona un disco per stringhe di testo per decifrare la crittografia. Fornisce un'aggregazione degli strumenti forensi più comuni agli investigatori.
Cosa piace agli utenti:
“Lo abbiamo scelto come nostro strumento di forensics informatica per l'ufficio del sistema di istruzione superiore perché è facile da usare, ha una curva di apprendimento rapida e una visualizzazione completa. FTK era perfetto perché è veloce da imparare e raccoglie una grande quantità di informazioni. L'installazione va liscia e la formazione è di prim'ordine.”
- Recensione di FTK Forensic Toolkit, Pinkee H.
Cosa non piace agli utenti:
“Alcuni aspetti della capacità di ricerca di cui devi essere consapevole in anticipo, o influenzeranno significativamente le tue ricerche.”
- Recensione di FTK Forensic Toolkit, Joseph S.
3. ExtraHop
ExtraHops’ piattaforma di difesa informatica rileva e risponde alle minacce informatiche avanzate. Consente ai professionisti della sicurezza di rilevare comportamenti dannosi e investigare qualsiasi incidente di sicurezza con fiducia.
Cosa piace agli utenti:
“Abbastanza facile da configurare una volta che conosci le basi per estendere correttamente il tuo traffico e ancora più facile poiché ha un motore di deduplicazione. Ha un'interfaccia user-friendly, che presenta chiaramente il rilevamento della sicurezza e l'analisi della rete per il team di sicurezza e di rete.
Come specialista di rete, mi piace il monitoraggio della salute della rete attraverso l'analisi avanzata del Transmission Control Protocol (TCP) e gli errori di protocollo. Extrahop 360 ha un motore potente che ci permette di fare ricerche veloci e conserva una grande quantità di metadati in modo da poter tornare indietro nel tempo.”
- Recensione di ExtraHop, François G.
Cosa non piace agli utenti:
“Extrahop ha un'area in cui deve immergersi immediatamente, ed è l'ispezione, la categorizzazione, la valutazione del rischio e l'utilizzo di dati di database esterni per dispositivi IIoT/IoT. Attualmente, può vedere il traffico sul filo, ma i comportamenti e i rischi dietro i dispositivi IoT supereranno l'hardware IT standard noto tra pochi anni.
Non necessariamente colpa di Extrahop poiché è un problema con qualsiasi di queste soluzioni, ma aggregare il traffico in una grande impresa non è solo una sfida ma un'impresa costosa. Come soluzione alternativa, utilizziamo broker di pacchetti per ridurre i flussi di traffico a quelli che ci interessano per garantire che non sovrascriviamo massicciamente i dispositivi.”
- Recensione di ExtraHop, Travis S.
4. Parrot Security OS
Parrot Security OS è una distribuzione Linux basata su Debian con un focus su sicurezza, privacy e sviluppo. Fornisce una suite di strumenti di test di penetrazione da utilizzare per la mitigazione degli attacchi, la ricerca sulla sicurezza e la forensics.
Cosa piace agli utenti:
“Uno dei principali vantaggi offerti da questa distribuzione è che fornisce un buon supporto per gli aggiornamenti dei suoi diversi strumenti. C'è una forte comunità che rivede periodicamente i pacchetti più recenti di ciascuno degli strumenti.
Inoltre, i migliori strumenti per eseguire audit di sicurezza sono preinstallati out-of-the-box, specialmente dal punto di vista offensivo, con l'obiettivo di scoprire e sfruttare le vulnerabilità nell'infrastruttura di un'organizzazione.”
- Parrot Security OS, Jose M Ortega
Cosa non piace agli utenti:
“A volte Parrot OS diventa lento quando si utilizza un'app pesante perché non supporta una varietà di schede grafiche nativamente, ma si può anche farlo funzionare dopo alcune modifiche.
A volte ha problemi di compatibilità con dispositivi periferici come schede wireless USB e dispositivi token.”
- Parrot Security OS, Indrajeet S.
5. Cyber Triage
Cyber Triage offre software di risposta agli incidenti automatizzato che indaga sugli endpoint vulnerabili. Spinge il suo strumento di raccolta sulla rete, raccoglie dati rilevanti e li analizza per attività dannose o sospette.
Cosa piace agli utenti:
“Soluzione user-friendly che fa risparmiare tempo perché è senza agenti, completamente automatizzata e focalizzata sui principi del triage. Non richiede un intermediario per elaborare le informazioni restituite dall'utilità, poiché tutto viene elaborato in tempo reale.”
- Recensione di Cyber Tirage, Indars S.
Cosa non piace agli utenti:
“Essendo un sistema senza agenti, traccia l'attività degli utenti finali attraverso gli account utente. Questo significa che ottiene tutti i dati degli account e li analizza da remoto invece che on-prem.”
- Recensione di Cyber Triage, Poonam K.
Proteggi i tuoi sistemi
L'importanza della digital forensics è cresciuta negli ultimi anni poiché il mondo è diventato sempre più dipendente dalla tecnologia per registrare le nostre azioni, pensieri e ricordi sotto forma di informazioni memorizzate sui computer.
Le impronte digitali elettroniche sono ovunque. In qualsiasi crimine informatico, questa prova elettronica serve come strumento cruciale per supportare o confutare un'ipotesi in un tribunale. La digital forensics scopre queste prove e stabilisce misure preventive per prevenire crimini informatici simili in futuro.
Scopri di più sulla gestione delle vulnerabilità in modo da poter correggere le debolezze di sicurezza nei tuoi sistemi e reti.
Sagar Joshi
Sagar Joshi is a former content marketing specialist at G2 in India. He is an engineer with a keen interest in data analytics and cybersecurity. He writes about topics related to them. You can find him reading books, learning a new language, or playing pool in his free time.
